内容摘要：接到派出所电话那一刻，我正蹲在工位底下插网线。手机夹在肩膀和耳朵之间，听见对方说“你们公司网站被标记了”，第一反应是诈骗。直到他报出我们公司全称和备案号，我才从桌子底下钻出来，后脑勺磕在桌板上。 这事

接到派出所电话那一刻，派出我正蹲在工位底下插网线。所打说公司网手机夹在肩膀和耳朵之间，电话听见对方说“你们公司网站被标记了”，恶意第一反应是被标诈骗。直到他报出我们公司全称和备案号，派出我才从桌子底下钻出来，所打说公司网后脑勺磕在桌板上。电话

这事发生在去年秋天。恶意我们是被标个做工业零配件的小公司，官网就五六个页面，派出产品图拍得跟证件照似的所打说公司网，最花哨的电话功能是QQ在线咨询。被标记的恶意原因是：网站首页底部挂了一个“在线赌博”的暗链，藏在一段CSS代码里，被标肉眼看不见，但搜索引擎爬虫能抓到。

派出所网安大队的民警加了微信，发来截图。我打开F12开发者工具，翻到页面底部，果然在footer区域有一段<a href="..." style="position:absolute;left:-9999px;">澳门XX娱乐</a>。说实话，我在这行干了六年，头一回见着这种手法。以前碰到的都是JS弹窗或者iframe嵌套，这种纯CSS隐藏算“复古”操作。

问题出在哪儿？我们网站是外包给一个大学生做的，三千块钱，包域名包服务器。他毕业去了大厂，代码再没动过。后台登录密码还是admin123，我试了三次就进去了。翻日志发现，三个月前有境外IP尝试了四百多次登录，最后成功了一次——就在凌晨两点十七分。

民警说，这类暗链通常来自批量扫描工具，专门找弱口令的站。挂上去之后，你的域名就成了赌博网站的“外链农场”，用来刷SEO权重。搜索引擎一旦标记，整站降权，用户搜公司名都搜不到。更麻烦的是，如果被举报到工信部，备案号可能被注销。

处理过程倒不复杂。删代码、改密码、加验证码、把后台登录路径从/admin改成随机字符串。民警让我写了一份情况说明，盖公章，交到派出所。他说这算轻的，有的公司网站被挂马之后，服务器被用来发垃圾邮件，那就不是写说明能解决的了。

我后来问了一圈同行，发现这事比想象中普遍。做外贸的老王说，他三个站都被挂过，其中一个被Google标了“此网站可能被入侵”，流量直接归零。做本地服务的张姐更惨，网站被跳转到博彩页面，客户以为她改行了。

有个细节我印象很深。民警临走前说了句：“你们这些小公司，网站就像家里的防盗门，装完就不管了。”这话糙，但点在理上。我们总觉得网站上线就完事，其实它跟服务器一样，需要定期看日志、打补丁、换密码。尤其用开源CMS搭的站，漏洞更新比手机系统还频繁。

现在我把网站迁到了自己的服务器上，装了WAF，每天自动备份。后台登录加了双因素认证，密码是1Password生成的32位随机串。每周末花十分钟看一遍访问日志。上个月又发现一次扫描尝试，IP来自荷兰，被防火墙拦了。

说回派出所那通电话。挂掉之后我查了来电号码，确实是辖区派出所的座机。他们现在有个网安警务室，专门盯辖区企业的网站安全。算是一种提醒机制——被标记了先通知你整改，整改不到位再处罚。比直接罚款人性化，但那种“你被盯上了”的感觉，跟上学时被班主任叫去办公室差不多。

如果你也接到类似电话，别急着挂。先上site:你的域名搜一下，看有没有异常收录。再查查服务器日志，重点看半夜的POST请求。最后把后台密码改成十六位以上，带大小写和符号。这三步做完，基本能挡住九成以上的脚本小子。

至于那个外包的大学生，我后来没找他。代码是他写的，但维护责任在我。就像买了辆车，不能因为4S店没提醒你换机油，就等着发动机拉缸。